java - ‘pgp_sym_encrypt’和 ‘pgp_sym_decrypt’带有HSM(硬件安全模块)的机制

Question

我想用 HSM(硬件安全模块)替换 PostgreSQL 加密函数“pgp_sym_encrypt”和“pgp_sym_decrypt”机制。我可以实现它以用 HSM 替换现有算法吗？

Answer 1

如果你的客户付钱让你找出这个问题，那么如果你能做一些研究并致力于解决这个问题，而不仅仅是问 Stack Overflow，那就太好了。

pgp_sym_功能在 contrib/pgcrypto/pgp-pgsql.c 。它们是 decrypt_internal 的包装，并依次围绕 pgp.h 中公开的函数并在 pgp*.c 中实现文件。

您将看到 pgcrypto 有自己的 OpenPGP 实现。这意味着它不使用 GnuPG 作为库，因此不能简单地直接使用 GnuPG 对硬件安全模块的支持。

如果您想要支持 HSM，则需要在 pgcrypto 中自行实现。扩大。您也许可以使用libgcrypt和GPGME可以帮助您的函数和/或 OpenSSL 中的功能。这取决于您使用的 HSM；它可能只是一个可以完成您想要的大部分功能的客户端库。

如果您的 HSM 有一个具有您想要的功能的客户端库，则将其与 PostgreSQL 用户定义的函数包装在一起并将其作为新的 contrib 模块公开给 SQL，这可能会更简单。

无论哪种方式，您都必须进行大量阅读和研究。您需要了解 C 编程语言并能够轻松地使用它。您需要了解 PostgreSQL 中的用户定义函数如何工作。如果您无法管理其中任何一项，则需要将工作分包给能够管理的人员，让他们访问相关 HSM 样本，并支付他们的时间费用。 (不，我不是在找工作，我已经有太多了)。